GestSup versions prior to 3.2.60 contain multiple SQL injection vulnerabilities in the asset list functionality. Multiple request parameters used to filter, search, or sort assets are incorporated into SQL queries without sufficient neutralization, allowing an authenticated attacker to manipulate database queries. Successful exploitation can result in unauthorized access to or modification of database contents depending on database privileges.
GestSup versions prior to 3.2.60 contain multiple SQL injection vulnerabilities in asset list functionality that allow authenticated attackers to manipulate database queries through unsanitized filter, search, and sort parameters. Successful exploitation enables unauthorized access to or modification of database contents based on database privileges, posing significant risks to data confidentiality and integrity.
تعاني إصدارات GestSup السابقة للإصدار 3.2.60 من ثغرات أمنية خطيرة تتعلق بحقن أوامر SQL في وظيفة إدارة قائمة الأصول. تنشأ هذه الثغرات من عدم تعقيم معاملات الطلبات المستخدمة في عمليات الفلترة والبحث والفرز قبل دمجها في استعلامات SQL، مما يسمح للمهاجم المصادق عليه بحقن أوامر SQL ضارة. يمكن أن يؤدي الاستغلال الناجح إلى الوصول غير المصرح به لبيانات حساسة، تعديل أو حذف سجلات قاعدة البيانات، أو تنفيذ عمليات غير مشروعة حسب صلاحيات المستخدم في قاعدة البيانات. تشكل هذه الثغرة تهديداً مباشراً لسرية وسلامة وتوافر البيانات المؤسسية.
تحتوي إصدارات GestSup الأقدم من 3.2.60 على ثغرات متعددة لحقن SQL في وظيفة قائمة الأصول تسمح للمهاجمين المصادق عليهم بالتلاعب باستعلامات قاعدة البيانات من خلال معاملات الفلترة والبحث والفرز غير المعقمة. يمكن للاستغلال الناجح الوصول غير المصرح به إلى محتويات قاعدة البيانات أو تعديلها بناءً على صلاحيات قاعدة البيانات، مما يشكل مخاطر كبيرة على سرية البيانات وسلامتها.
1. Immediately upgrade GestSup to version 3.2.60 or later to patch the SQL injection vulnerabilities in asset list functionality
2. Implement database activity monitoring and review logs for suspicious SQL queries or unauthorized data access attempts targeting asset management tables
3. Apply principle of least privilege to database accounts used by GestSup, restricting permissions to only necessary operations and implementing parameterized queries or prepared statements for all database interactions
1. الترقية الفورية لنظام GestSup إلى الإصدار 3.2.60 أو أحدث لإصلاح ثغرات حقن SQL في وظيفة قائمة الأصول
2. تطبيق مراقبة نشاط قاعدة البيانات ومراجعة السجلات للكشف عن استعلامات SQL المشبوهة أو محاولات الوصول غير المصرح به التي تستهدف جداول إدارة الأصول
3. تطبيق مبدأ الصلاحيات الأقل امتيازاً لحسابات قاعدة البيانات المستخدمة من قبل GestSup، وتقييد الأذونات للعمليات الضرورية فقط وتنفيذ الاستعلامات المعلمية أو العبارات المحضرة لجميع تفاعلات قاعدة البيانات